Décret n° 2025-510 du 29 décembre 2025 fixant le régime juridique de fourniture des moyens et des prestations de cryptologie

Conformément aux dispositions de l’article 35 de la loi n° 26-2020 du 5 juin 2020 susvisée, tout organisme exerçant des prestations de service de cryptologie doit être agréé par l’agence nationale de sécurité des systèmes d’information.

L’agrément peut être refusé pour non-respect des dispositions du présent décret ou pour des motifs liés aux intérêts de la défense nationale et de la sécurité publique. La décision de refus est motivée.

L’organisme agréé notifie sans délai, à l’agence nationale de sécurité des systèmes d’information, tout changement intervenu dans sa situation juridique, notamment :

• tout changement :
• dans la nature juridique de l’organisme agréé ;
• dans la nature ou l’objet des activités de l’organisme agréé ;
• de l’adresse de son établissement ;
• de l’identité ou des qualités juridiques de ses dirigeants.
• toutes fusions ou toutes cessions d’actions ou de parts sociales susceptibles d’entraîner un changement du contrôle de l’organisme agréé ;
• toute cessation totale ou partielle de l’activité agréée.

Les agents assermentés et/ou commissionnés de l’agence nationale de sécurité des systèmes d’information, lors des contrôles ont le pouvoir de :

• entrer en possession des conventions secrètes des données chiffrées sur réquisition adressée à l’agence nationale de sécurité des systèmes d’information ou y accéder ;
• ordonner le déchiffrement des données. À cet effet, ils peuvent, le cas échéant, recourir aux services d’experts en cryptologie.

La relation entre l’organisme agréé et l’utilisateur pour la gestion de ces conventions secrètes est formalisée par un contrat, qui comprend obligatoirement :

• la référence de l’agrément, la durée et la date d’expiration ainsi que tout élément d’information jugée utile par le cahier des charges ;
• un engagement de l’organisme agréé relatif à la confidentialité ou à la sécurité des conventions secrètes qu’il gère pour le compte de l’utilisateur ;
• les modalités de traitement des conventions secrètes ;
• les modalités selon lesquelles l’utilisateur, ou toute autre personne éventuellement mandatée par celui-ci, pourra, à sa demande, se faire délivrer une copie de ces conventions secrètes.

L’organisme agréé tient à jour :

• une liste de ses clients ;
• un registre mentionnant toutes les demandes présentées par les agents assermentés et/ou commissionnés de l’agence nationale de sécurité des systèmes d’information, concernant la mise en application ou la remise des conventions secrètes conformément aux dispositions de l’article 38 du présent décret.

Le registre ci-dessus prévu est signé par un agent assermenté et/ou commissionné et par l’organisme agréé.

L’organisme agréé prend les mesures nécessaires pour préserver la sécurité des conventions secrètes qu’il gère au profit de ses clients, afin d’empêcher qu’elles ne puissent être altérées, endommagées, détruites, consultées ou communiquées à des tiers non autorisés.

Il prend toutes dispositions, notamment contractuelles, vis-à-vis de son personnel, de ses partenaires, clients et fournisseurs, afin que soit respectée la confidentialité des informations dont il a connaissance relativement à l’utilisation des conventions secrètes.

Les dispositions des lois relatives à la cybersécurité et à la protection des données à caractère personnel, s’appliquent à l’organisme agréé, à son personnel, à ses partenaires, à ses clients et à ses fournisseurs.

Tout organisme agréé a l’obligation de conserver les conventions secrètes qui lui sont confiées.

À l’issue d’un délai de cinq ans à compter de la date de signature du contrat prévu à l’article 34 du présent décret, l’organisme agréé peut, après accord de l’utilisateur, déposer lesdites conventions secrètes auprès d’un autre organisme agréé choisi sur une liste d’organismes agréés établie par l’agence nationale de sécurité des systèmes d’information.